使用自定义限制条件管理资源

本页面介绍了如何使用 Organization Policy Service 自定义限制条件来限制对以下 Google Cloud 资源执行的特定操作：

  • cloudresourcemanager.googleapis.com/Project
  • cloudresourcemanager.googleapis.com/Folder

如需详细了解组织政策，请参阅自定义组织政策。

组织政策和限制条件简介

借助 Google Cloud 组织政策服务，您可以对组织的资源进行程序化集中控制。作为组织政策管理员，您可以定义组织政策，这是一组称为限制条件的限制，会应用于 Google Cloud 资源层次结构中的Google Cloud 资源及其后代。您可以在组织、文件夹或项目级强制执行组织政策。

组织政策为各种 Google Cloud 服务提供内置的托管式限制。但是，如果您想要更精细地控制和自定义组织政策中受限的特定字段，还可以创建自定义限制条件并在组织政策中使用这些自定义限制条件。

政策继承

如果您对资源强制执行政策，默认情况下，该资源的后代会继承组织政策。例如，如果您对某个文件夹强制执行一项政策， Google Cloud 会对该文件夹中的所有项目强制执行该政策。如需详细了解此行为及其更改方式，请参阅层次结构评估规则。

优势

在安全、合规性和治理方面，您可以通过以下方式使用自定义组织政策：

  • 控制项目命名模式：您可以针对项目 ID 创建自定义限制条件。例如，在临时资源文件夹中，仅当项目 ID 以 staging- 开头时，才允许对项目执行创建和更新操作。
  • 限制对安全项目和文件夹的变更：您可以创建自定义限制条件，以在父级是安全文件夹或组织时拒绝项目和文件夹更新。

限制

  • 如果文件夹或项目上设置了自定义限制条件，则对 App Script、Firebase 或 Contact Center Solution 资源执行的创建或更新操作可能会失败。在这种情况下，请检查导致失败的自定义限制中的条件。确保这些限制已更新，然后重试失败的操作。
  • 与所有组织政策限制条件一样，政策更改不会以追溯方式应用于现有实例。
  • 在 Google Cloud 控制台上创建项目和文件夹时，可能不会提供PERMISSION_DENIED错误消息的具体原因。如需确认导致失败的具体限制的相关详细信息，您可以查看审核日志。

准备工作

  • 请确保您知道您的组织 ID。
  • 安装并初始化 Google Cloud CLI。

    1. 安装 Google Cloud CLI。

    2. 配置 gcloud CLI 以使用您的联合身份。

      如需了解详情，请参阅使用联合身份登录 gcloud CLI。

    3. 如需初始化 gcloud CLI，请运行以下命令： 

      gcloud init

    • 所需的角色

    如需获得管理自定义组织政策所需的权限，请让您的管理员为您授予组织资源的 Organization Policy Administrator (roles/orgpolicy.policyAdmin) IAM 角色。 如需详细了解如何授予角色，请参阅管理对项目、文件夹和组织的访问权限。

    您也可以通过自定义角色或其他预定义角色来获取所需的权限。

    Resource Manager 支持的资源

    下表列出了您可以在自定义限制条件中引用的 Resource Manager 资源。

    资源 字段
    cloudresourcemanager.googleapis.com/Folder resource.displayName
    resource.parent
    cloudresourcemanager.googleapis.com/Project resource.parent
    resource.projectId

    设置自定义限制条件

    自定义限制条件是在 YAML 文件中，由实施组织政策的服务所支持的资源、方法、条件和操作定义的。自定义限制条件的条件使用通用表达式语言 (CEL) 进行定义。如需详细了解如何使用 CEL 构建自定义限制条件中的条件，请参阅创建和管理自定义限制条件的 CEL 部分。

    控制台

    如需创建自定义限制条件，请执行以下操作：

    1. 在 Google Cloud 控制台中，转到组织政策页面。

      转到组织政策

    2. 在项目选择器中，选择要为其设置组织政策的项目。
    3. 点击 自定义限制条件。
    4. 在显示名称框中，为限制条件输入一个人类可读名称。此名称会在错误消息中使用，并可用于识别和调试用途。请勿在显示名称中使用个人身份信息 (PII) 或敏感数据，因为此名称可能会在错误消息中公开。此字段最多可包含 200 个字符。
    5. 在限制条件 ID 框中，为新的自定义限制条件输入所需的 ID。自定义限制条件只能包含字母（包括大写和小写）或数字，例如 custom.allowProjectForXDepartmentNameOnly。此字段最多可包含 70 个字符，不计算前缀 (custom.)，例如 organizations/123456789/customConstraints/custom。请勿在限制条件 ID 中包含个人身份信息或敏感数据，因为该 ID 可能会在错误消息中公开。
    6. 在说明框中，输入人类可读的限制条件说明。当违反政策时，此说明将用作错误消息。请包含有关发生违规的原因以及如何解决违规问题的详细信息。请勿在说明中包含个人身份信息或敏感数据，因为该说明可能会在错误消息中公开。 此字段最多可包含 2000 个字符。
    7. 在资源类型框中，选择包含要限制的对象和字段的 Google Cloud REST 资源的名称，例如 container.googleapis.com/NodePool。大多数资源类型最多支持 20 个自定义限制条件。如果您尝试创建更多自定义限制条件，操作将会失败。
    8. 在强制执行方法下，选择是对 REST CREATE 方法强制执行限制条件，还是同时对 CREATE 和 UPDATE 方法强制执行限制条件。如果您对违反限制条件的资源使用 UPDATE 方法强制执行限制条件，除非更改解决了违规问题，否则组织政策会阻止对该资源的更改。

      9. 如需查看每种服务支持的方法，请在 支持自定义限制条件的服务中找到相应服务。

    9. 如需定义条件，请点击